Numerosi enti del Terzo settore hanno introdotto nel proprio sito un “pulsante di aiuto” destinato a vittime di violenza domestica, di sfruttamento lavorativo e a persone con dipendenze patologiche.

La scelta è corretta nel merito e quasi sempre carente nel metodo: il canale viene realizzato come una qualsiasi pagina di contatto, mentre si tratta di un trattamento che coinvolge categorie particolari di dati (art. 9 GDPR), dati relativi a reati (art. 10 GDPR) e interessati vulnerabili, con un rischio che il considerando 75 qualifica espressamente come possibile “danno fisico”.

Il primo capitolo di un’esalogia, dedicata alla protezione dei dati personali nei servizi di ascolto e segnalazione per soggetti vulnerabili, delimita il perimetro giuridico del problema, individuando le quattro posizioni soggettive coinvolte e anticipando il nodo che percorre l’intera serie:il rapporto fra anonimato e possibilità concreta di prestare aiuto.

Perché il contatto, in sé, è un dato di categoria particolare

Il punto di partenza è tecnico ed è da fissare prima di ogni valutazione organizzativa.

Nel momento in cui una persona attiva un “pulsante di aiuto” pubblicato sul sito di un centro antiviolenza, di uno sportello antitratta o di un servizio per le dipendenze o di un supporto per chi soffre di disturbi alimentari, il solo fatto della connessione, associato a un identificativo online, costituisce un dato personale ai sensi dell’art. 4, n. 1, General Data Protection Regulation, che include espressamente fra gli elementi identificativi “un identificativo online” (si veda anche il considerando 30 sugli indirizzi IP e sui cookie e la lettura della Corte di giustizia nel caso Breyer, C-582/14).

Non è però un dato personale qualunque.

La finalità del sito qualifica il contatto: chi raggiunge la sezione dedicata alle vittime di violenza sessuale o quella dei servizi per la dipendenza da sostanze, ludopatie eccetera rivela con quella sola azione un’informazione riconducibile allo stato di salute (art. 4, n. 15, GDPR e considerando 35, che include nella nozione “qualsiasi informazione riguardante lo stato di salute passato, presente o futuro”), alla vita sessuale, talvolta all’origine etnica o alle convinzioni religiose.

Il trattamento ricade quindi nel divieto generale posto dall’art. 9, paragrafo 1, GDPR, e può avvenire soltanto se ricorre una delle deroghe del paragrafo 2 – argomento che sarà trattato nel prossimo capitolo.

Il vincolo più severo che grava su questi servizi

A ciò si aggiunge un secondo strato, spesso ignorato: il contenuto della segnalazione riguarda condotte che integrano fattispecie di reato – maltrattamenti, atti persecutori, intermediazione illecita e sfruttamento del lavoro ex art. 603-bis c.p. – e quindi coinvolge dati “relativi a condanne penali e reati”, il cui trattamento è consentito, secondo l’art. 10 GDPR, solo sotto il controllo dell’autorità pubblica o se autorizzato dal diritto dell’Unione o dello Stato membro con garanzie appropriate.

È il vincolo più severo che grava su questi servizi, e vi dedicheremo la parte centrale del prossimo capitolo.

Il rischio da valutare non è quello ordinario

L’art. 24, paragrafo 1, GDPR impone al titolare di adottare misure tecniche e organizzative adeguate “tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche”.

Il considerando 76 precisa che il rischio è da valutare “in base a una valutazione oggettiva”, misurando probabilità e gravità.

Applicando questi parametri al “pulsante di aiuto” si ottiene un risultato che distingue nettamente il servizio da qualunque altro trattamento gestito dallo stesso Ente, con l’eccezione, quando prevista, di uno sportello aperto al pubblico che presenta molte analogie con il caso in esame.

Considerando 75 del GDPR

Il considerando 75 del Regolamento Generale sulla Protezione dei Dati elenca i pregiudizi rilevanti e apre l’elenco proprio con il “danno fisico”; menziona poi la perdita di riservatezza di dati protetti da segreto professionale, il trattamento di dati relativi alla salute, alla vita sessuale e a condanne penali, e – testualmente – il trattamento di dati “di persone fisiche vulnerabili, in particolare minori”.

Il pulsante di aiuto realizza potenzialmente contemporaneamente tutte queste condizioni.

Il soggetto segnalato attraverso il “pulsante di aiuto”

La conseguenza pratica è che occorre rovesciare il modello di minaccia rispetto all’impostazione consueta.

L’avversario da cui difendersi non è prioritariamente l’attaccante informatico esterno, ma il soggetto segnalato attraverso il “pulsante di aiuto” e quindi:

• il “datore di lavoro” che controlla o trattiene illecitamente i documenti dei braccianti;
• un partner convivente che conosce il codice di sblocco del telefono;
• il familiare che apre la posta;
• lo spacciatore che minaccia il tossicodipendente.

Le misure adeguate

Non è rilevante che queste persone abbiano competenze tecniche.

Per loro è sufficiente la prossimità fisica: una notifica sul display, una voce nel registro chiamate, una pagina rimasta nella cronologia, un messaggio di conferma nella casella di posta condivisa.

Questo rovesciamento non è una considerazione sociologica: è ciò che consente di individuare misure “adeguate” ai sensi degli artt. 24, 25 e 32 GDPR.

Così, per esempio, una misura di sicurezza che protegge perfettamente il server e lascia una traccia sul dispositivo della vittima è, in questo contesto, una misura inadeguata.

Quattro posizioni soggettive, non un “utente”

Progettare pensando a un solo interessato è l’errore che genera, a valle, gran parte dei problemi.

In una segnalazione convivono, di regola, quattro posizioni distinte.

Il segnalante è chi attiva il canale. I suoi dati sono raccolti presso di lui e ricadono quindi nell’obbligo informativo dell’art. 13 GDPR. Non sempre coincide con la persona da tutelare; la segnalazione può provenire da una vicina, da un’insegnante, da un collega.

La persona da tutelare coincide spesso con il segnalante. Quando ciò non avviene, i dati della presunta vittima (o delle vittime) sono raccolti presso terzi e si applica l’art. 14 GDPR, con le deroghe del paragrafo 5 – deroghe che vanno individuate e documentate in anticipo, non improvvisate, come verrà affrontato nel quarto articolo della esalogia.

La persona segnalata è a sua volta un interessato, titolare dei diritti del Capo III.

È la posizione più scomoda e la più trascurata: i suoi dati sono, per definizione, dati di cui all’art. 10 GDPR; l’informativa ex art. 14 le sarebbe in linea di principio dovuta; e potrà esercitare il diritto di accesso ex art. 15.

Il considerando 63 fissa il limite (“tale diritto non dovrebbe ledere i diritti e le libertà altrui”), l’art. 15, paragrafo 4, lo traduce in norma e l’art. 2-undecies del Codice, unitamente all’art. 23 GDPR, offre la base per limitarne l’esercizio.

Ma tutto questo funziona solo se la procedura è stata scritta prima.

Terzi menzionati

I terzi menzionati – altri lavoratori, altri minori, altri operatori, altri testimoni dei fatti o che ne sono a conoscenza o ancora che partecipano attivamente – impongono un vaglio di minimizzazione ex art. 5, paragrafo 1, lett. c), GDPR già in fase di verbalizzazione.

Infine, la “persona segnalata” ed i “terzi menzionati” non sono sempre presenti in una segnalazione.

È il caso per esempio di un interessato che chiede aiuto in quanto soffre di una patologia (dipendenza, ludopiatia, anoressia, altre condizioni di disagio eccetera).

Due tipologie di segnalazione, due percorsi giuridici

Fin dal primo contatto, occorre distinguere la segnalazione pro se da quella pro alio.

Nella prima la persona chiede aiuto per sé. Qui un dato di contatto è funzionalmente indispensabile: senza di esso la finalità di assistenza non è perseguibile e il principio di minimizzazione – che impone di raccogliere i dati “adeguati, pertinenti e limitati a quanto necessario” – non vieta affatto di chiederlo, purché sia effettivamente necessario e lo si spieghi.

Il considerando 39 chiarisce che il trattamento dei dati personali dovrebbe avvenire solo se la finalità non è ragionevolmente conseguibile con altri mezzi: qui non lo è.

Nella seconda la persona segnala una situazione che riguarda altri, tipicamente una persona o un gruppo sottoposto a sfruttamento o altre forme di violenza.

Il contatto resta utile, ma non è condizione di esistenza dell’attività.

L’Ente può raccogliere l’informazione e valutarne la trasmissione all’autorità.

Cambia però la base giuridica applicabile e cambia il regime dei dati del segnalato. Inoltre si verifica se il segnalante rientri nell’ambito del D.Lgs. 24/2023 (Decreto Whistleblowing), che per i lavoratori che denunciano illeciti prevede un regime di riservatezza rafforzato (art. 12) e regole proprie sul trattamento (art. 13) e sulla conservazione (art. 14): due discipline distinte che non si devono sovrapporre.

Il nodo che attraversa l’esalogia: anonimato e capacità di aiutare

Resta il nodo strutturale: l’anonimato pieno rappresenta la misura di sicurezza più efficace e, insieme, il principale limite operativo. Però si precisa un equivoco frequente: una segnalazione priva di nome non è, di regola, un dato anonimo.

Il considerando 26 impone di considerare “tutti i mezzi di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica”.

Quindi, un racconto che indichi azienda, mansione, nazionalità e dinamica dei fatti identifica o potrebbe identificare il segnalante con precisione sufficiente a chi ha interesse a farlo.

Ciò che si realizza, nella grande maggioranza dei casi, è una pseudonimizzazione ai sensi dell’art. 4, n. 5 – misura utile che, però non fa uscire il dato dal campo di applicazione del GDPR.

Esiste tuttavia uno strumento poco utilizzato e qui prezioso: l’art. 11 GDPR, che disciplina il trattamento che non richiede identificazione e stabilisce, al paragrafo 2, che se il titolare non è in grado di identificare l’interessato gli artt. da 15 a 20 non si applicano, salvo che l’interessato fornisca informazioni ulteriori.

Questo argomento sarà oggetto di approfondimento nel quarto capitolo della nostra esalogia.

Data protection, la base giuridica su cui un Ente nel terzo settore può trattare i dati

Il “pulsante di aiuto” non è una variante grafica della pagina “contatti”, ma un vero e proprio trattamento.

Per natura dei dati (artt. 9 e 10), per vulnerabilità degli interessati e per gravità del pregiudizio potenziale (considerando 75 e 76), si colloca stabilmente nell’area del rischio elevato e richiede quindi l’intero apparato dell’accountability: base giuridica dimostrabile (art. 5, paragrafo 2), progettazione by design (art. 25), misure di sicurezza commisurate (art. 32), valutazione d’impatto (art. 35).

Tre acquisizioni vanno portate agli articoli successivi: il contatto è già di per sé un dato di categoria particolare; l’avversario rilevante è prossimo alla vittima e non richiede competenze tecniche; gli interessati sono almeno quattro e non hanno la stessa posizione giuridica.

Nel prossimo capitolo, affronteremo la questione che precede logicamente ogni scelta tecnica: su quale base giuridica un Ente del Terzo settore può trattare questi dati.

Analizzeremo perché il consenso esplicito ex art. 9, paragrafo 2, lett. a), è quasi sempre inidoneo alla luce dei considerando 42 e 43; perché la deroga per gli organismi senza scopo di lucro di cui alla lett. d) non copre quasi mai le finalità assistenziali e perché l’art. 10 GDPR, letto insieme all’art. 2-octies del Codice Privacy, rappresenta il vero collo di bottiglia di questi servizi.